Überblick über das neue Datenschutzgesetz 2023 und seine Auswirkungen auf Unternehmen

Im Informationszeitalter ist die Nutzung personenbezogener Daten das Herzstück der meisten Geschäftsmodelle. Mit der Beschleunigung der digitalen Transformation hat sich die Art und Weise, wie Unternehmen Daten sammeln, verarbeiten, speichern und übertragen, rasant entwickelt. Um mit diesen Veränderungen Schritt zu halten, hat die Schweiz ein vollständig überarbeitetes Bundesgesetz über den Datenschutz (DSG oder nDSG) eingeführt, das am 1. September 2023 in Kraft trat.

Dieser neue Rechtsrahmen modernisiert das Schweizer Datenschutzrecht, gleicht es stärker an internationale Standards wie die EU-Datenschutzgrundverordnung (DSGVO) an und führt mehrere neue Rechte für Einzelpersonen (betroffene Personen) und Pflichten für Unternehmen ein. Dieser Artikel gibt einen detaillierten Überblick über die wichtigsten Elemente des revidierten Gesetzes, wen es betrifft, was sich geändert hat und welche Schritte Schweizer und internationale Unternehmen unternehmen müssen, um die Einhaltung der Vorschriften zu gewährleisten.

Das nDSG führt mehrere wichtige Änderungen ein, die es näher an die DSGVO heranführen und gleichzeitig bestimmte Besonderheiten des Schweizer Kontexts beibehalten. Im Folgenden finden Sie einen Überblick über die Aktualisierungen, die wir in den folgenden Abschnitten näher erläutern werden:

• Das Gesetz gilt nur für die Daten von natürlichen Personen.
• Zu den sensiblen Datenkategorien gehören nun auch biometrische, genetische und ethnische Daten.
• Das Auswirkungsprinzip bedeutet, dass das Gesetz auch für ausländische Unternehmen gilt, wenn ihre Datenverarbeitung Auswirkungen auf in der Schweiz ansässige Personen hat.
• Der Schutz der Privatsphäre durch Design und Standardeinstellungen wird zur Pflicht.
• Die Informationspflicht gilt für alle Datenerhebungen.
• Ein Register der Verarbeitungstätigkeiten ist erforderlich (mit Ausnahmen für KMU mit geringem Risiko).
• Profiling und Hochrisikoprofiling sind nun definiert und geregelt.
• Datenschutz-Folgenabschätzungen (DPIA) sind für Verarbeitungen mit hohem Risiko obligatorisch.
• Die Meldung von Verstössen an den EDÖB ist obligatorisch, jedoch ohne ausdrückliche 72-Stunden-Frist.
• Die Rechte der betroffenen Personen werden erweitert (z. B. Datenübertragbarkeit).
• Für vorsätzliche Verstösse durch verantwortliche natürliche Personen gelten Bussen bis zu 250'000 CHF.
• Die internationale Datenübermittlung unterliegt strengeren Anforderungen.

Das neue schweizerische Datenschutzgesetz schützt ausdrücklich natürliche Personen, nicht juristische Personen. Dies ist ein entscheidender Unterschied zum ursprünglichen Bundesgesetz über den Datenschutz (DSG) von 1992, das auch Unternehmen und anderen Organisationen Datenschutz bot.

Das nDSG zielt in erster Linie auf den Schutz der Persönlichkeit und der Grundrechte von Personen ab, deren Daten verarbeitet werden. Es stärkt den Grundsatz, dass der Einzelne die Kontrolle darüber behalten sollte, wie seine personenbezogenen Daten erhoben, verwendet und weitergegeben werden (Stärkung der "Selbstbestimmung" über personenbezogene Daten). Sie erhöht auch die Transparenz der Datenverarbeitung, so dass die Menschen besser darüber informiert sind, welche personenbezogenen Daten erhoben und wie sie verwendet werden.

Darüber hinaus hat das Gesetz den Umfang der "sensiblen personenbezogenen Daten" erweitert. Zusätzlich zu Daten über Gesundheit, religiöse oder politische Überzeugungen und Vorstrafen (die alle im ursprünglichen DSG als sensible personenbezogene Daten anerkannt wurden), erkennt das überarbeitete Gesetz auch diese an:

• Biometrische Daten (z. B. Fingerabdruck oder Gesichtserkennung)
• Genetische Daten (z. B. DNA-Analyse)
• Ethnische Herkunft
• Sozialhilfemassnahmen und verwaltungs- oder strafrechtliche Sanktionen

Diese umfassendere Definition bietet einen noch grösseren Schutz für Einzelpersonen und hat Auswirkungen darauf, wie Unternehmen ihre Datenrisiken und Compliance-Verpflichtungen bewerten.

1. Datenschutz durch Technik und Voreinstellungen

Artikel 7 des revDSG verpflichtet Unternehmen, den Datenschutz von Anfang an in Systeme und Prozesse zu integrieren (Datenschutz durch Technik) und sicherzustellen, dass die Standardeinstellungen eines Produkts oder einer Dienstleistung automatisch das höchste Datenschutzniveau bieten (Datenschutz durch Voreinstellungen). Dies bedeutet:

• Minimierung Erfassung von personenbezogenen Daten.
• Produkte und Dienste so konfigurieren, dass standardmässig die strengsten Datenschutzeinstellungen verwendet werden.
• Sicherstellung, dass nur notwendige Daten für einen bestimmten Zweck verarbeitet werden.

2. Informationspflichten

Um eine transparente Datenverarbeitung zu gewährleisten und den Einzelnen in die Lage zu versetzen, ihre Datenschutzrechte wahrzunehmen, gelten strengere Informationspflichten für die Betroffenen bei der Erhebung personenbezogener Daten (Artikel 19 revDSG).

Unternehmen müssen Einzelpersonen zum Zeitpunkt der Datenerhebung informieren, unabhängig davon, ob die Daten direkt oder von einem Dritten erhoben werden. Das Gesetz legt nicht ausdrücklich fest, wie Unternehmen die Informationen weitergeben müssen, sondern nur, welche Informationen sie zur Verfügung stellen müssen. Zu den Mindestangaben gehören:

• Identität und Kontaktinformationen des für die Verarbeitung Verantwortlichen
• Zweck der Verarbeitung
• Kategorien von Daten und Empfängern
• Zielland, wenn Daten ins Ausland übermittelt werden

3. Register der Verarbeitungstätigkeiten

Verantwortliche und Auftragsverarbeiter müssen ein Verzeichnis aller Datenverarbeitungstätigkeiten führen (Art. 12 nDSG). Das Register muss Angaben enthalten wie den Zweck der Erhebung und Verarbeitung, die Empfänger der Daten und die Empfängerländer bei Übermittlung ins Ausland, die Kategorien der betroffenen Personen und der erhobenen/verarbeiteten Daten, die Aufbewahrungsfristen der Daten und die Massnahmen zur Gewährleistung der Datensicherheit.

Unternehmen mit weniger als 250 Beschäftigten (die meisten KMU) sind von diesen Anforderungen ausgenommen, sofern ihre "Datenverarbeitung ein vernachlässigbares Risiko der Beeinträchtigung der Persönlichkeit der betroffenen Personen darstellt" (Art. 12, Abs. 5 nDSG). Mit anderen Worten: Sie verarbeiten keine sensiblen Daten in grossem Umfang und führen kein risikoreiches Profiling durch.

4. Datenschutz-Folgenabschätzungen (DPIAs)

Unternehmen müssen Datenschutzrisiken durch eine Datenschutz-Folgenabschätzung (DPIA) bewerten, wenn eine geplante Datenverarbeitung voraussichtlich ein hohes Risiko für die Persönlichkeit oder die Grundrechte von Personen darstellt (Art. 22 revDSG). Dazu gehört die grossflächige Bearbeitung von sensiblen Personendaten oder die systematische Überwachung von öffentlichen Räumen (z.B. Überwachungskameras in einem Einkaufszentrum zum Zweck des Behavioral Tracking).

Die Datenschutzfolgenabschätzung muss die beabsichtigte Verarbeitung beschreiben, die damit verbundenen Risiken bewerten und Massnahmen zur Minderung dieser Risiken darlegen. Unternehmen sind von dieser Verpflichtung ausgenommen, wenn die Verarbeitung gesetzlich vorgeschrieben ist. Darüber hinaus ist eine Datenschutz-Folgenabschätzung nicht verpflichtend, wenn das System oder der Dienst für seinen Verwendungszweck zertifiziert ist (Artikel 13 revDSG) oder wenn es einem Verhaltenskodex folgt (Artikel 11 revDSG):

• basiert auf einer vorherigen DPIA,
• Ausreichende Sicherheitsvorkehrungen zum Schutz der Daten,
• Wurde dem EDÖB vorgelegt.

5. Pflicht zur Meldung von Verstössen gegen die Datensicherheit

Im Falle einer Verletzung der Datensicherheit, die ein hohes Risiko für die betroffenen Personen darstellt, müssen die Unternehmen den EDÖB "so rasch wie möglich" informieren (Art. 24 revDSG).

Das Unternehmen muss die Art der Verletzung, deren Folgen und die getroffenen oder geplanten Schutzmassnahmen darlegen. Die Unternehmen müssen auch die betroffenen Personen informieren, wenn dies zu ihrem Schutz notwendig ist oder wenn der EDÖB dies verlangt.

Im Gegensatz zur Datenschutz-Grundverordnung sieht das Gesetz keine 72-Stunden-Frist vor, aber Verzögerungen können dennoch Durchsetzungsmassnahmen und Strafen nach sich ziehen.

6. Datenübermittlung ins Ausland

Personendaten dürfen nur dann ins Ausland übermittelt werden, wenn das Bestimmungsland ein angemessenes Schutzniveau bietet, wie es vom Schweizerischen Bundesrat anerkannt wird (Art. 16 revDSG).

Ist dies nicht der Fall, müssen die Unternehmen einen angemessenen Datenschutz gewährleisten:

• Standardvertragsklauseln
• Verbindliche Unternehmensregeln
• Vom EDÖB genehmigte spezifische vertragliche Garantien

Die für die Verarbeitung Verantwortlichen müssen die betroffenen Personen auch über die Empfängerländer und die angewandten Schutzmassnahmen informieren.

Erweiterte Rechte für betroffene Personen

Das überarbeitete Gesetz stärkt die Rechte des Einzelnen und verbessert die Transparenz. Zu den wichtigsten Rechten gehören:

• Recht auf Information: Der Einzelne kann Auskunft darüber verlangen, wie und warum seine Daten verarbeitet werden.
• Recht auf Berichtigung: Einzelpersonen können verlangen, dass unrichtige oder unvollständige personenbezogene Daten unverzüglich berichtigt werden.
• Recht auf Datenübertragung: Einzelpersonen können eine Kopie ihrer Daten in einem standardisierten elektronischen Format anfordern oder verlangen, dass sie direkt an einen anderen Anbieter übertragen werden, sofern dies keinen unangemessenen Aufwand erfordert. Wenn ein Kunde beispielsweise beschliesst, den Steuerberater zu wechseln, kann er verlangen, dass sein derzeitiger Berater alle relevanten personenbezogenen Daten - wie Einkommensnachweise, frühere Steuererklärungen und Korrespondenz mit Behörden - in einem strukturierten elektronischen Format an den neuen Berater übermittelt. Dies gewährleistet die Kontinuität der Dienstleistung und vermeidet die Notwendigkeit, historische Daten manuell neu zusammenzustellen.
• Recht auf Widerspruch gegen automatisierte Entscheidungen: Eine Person kann gegen Entscheidungen, die ausschliesslich durch automatisierte Verarbeitung getroffen werden, Einspruch erheben und eine Überprüfung durch einen Menschen verlangen (z. B. automatische Kreditwürdigkeitsprüfungen oder Versicherungsbewertungen).

Das neue schweizerische Datenschutzgesetz macht einen rigorosen Datenschutz zu einer Priorität für Unternehmen. Unternehmen müssen einen strukturierten und kontinuierlichen Ansatz zum Datenschutz verfolgen, um die Einhaltung der Vorschriften zu gewährleisten und Strafen zu vermeiden. Im Folgenden finden Sie einige praktische Schritte und Massnahmen, die Unternehmen bereits jetzt ergreifen können:

• Durchführung eines Datenschutz-Audits oder einer Lückenanalyse zur Ermittlung von Lücken in der Einhaltung der Vorschriften
• Aktualisierung interner Datenschutzrichtlinien, Verträge und Website-Hinweise
• Ernennung eines Datenschutzberaters (fakultativ, aber bei risikoreicher Verarbeitung dringend empfohlen)
• Schulung der Mitarbeiter zum Thema Datenschutz und Verantwortlichkeiten
• Überprüfung der Verarbeitungstätigkeiten und Erstellung eines Registers, falls gesetzlich vorgeschrieben
• Sicherstellen, dass geeignete technische und organisatorische Massnahmen für die Speicherung, Nutzung, Übermittlung und Löschung von Daten im Einklang mit dem Gesetz getroffen werden
• Entwicklung eines Plans zur Reaktion auf Sicherheitsverletzungen, um Vorfälle schnell zu erkennen, zu bewerten und zu melden
• Bewertung und Dokumentation der internationalen Datenübermittlung und der angewandten Sicherheitsvorkehrungen

Das revidierte Datenschutzgesetz der Schweiz bringt den rechtlichen Rahmen des Landes in Einklang mit der modernen Datenrealität. Während die Verpflichtungen für Unternehmen gestiegen sind, bietet es auch mehr Möglichkeiten, Vertrauen aufzubauen, Professionalität zu zeigen und in einer zunehmend datengesteuerten Wirtschaft sicher zu agieren.

Unabhängig davon, ob Sie ein kleines Startup oder ein etabliertes internationales Unternehmen sind, ist das Verständnis und die Umsetzung der Anforderungen des nDSG eine wertvolle Investition in den langfristigen Erfolg und ein wesentlicher Aspekt der Corporate Compliance.